Selección de la jurisdicción para la licencia
1) ¿Por qué una técnica en lugar de un «consejo de rumores»
La elección incorrecta de la jurisdicción da lugar a años y millones de costos adicionales. Se necesita un marco objetivo: criterios → peso → puntuación → una solución ligada a sus mercados objetivo, pagos, plazos y presupuestos.
2) Marco de decisión (revisión)
1. Objetivo/Geo: dónde realmente planea trabajar y qué canales de atracción están disponibles.
2. Criterios: mercado, regulación, TI/datos, pagos, publicidad, plazos, costo, reputación.
3. Modelo de puntuación: puntuación 0-5 para cada criterio × peso.
4. TCO y calendario: costo de propiedad y plazos de 12 a 24 meses.
5. Riesgos/« banderas rojas »: tener en cuenta y fijar los planes de mitigación con antelación.
6. Hoja de ruta: documentos, controles técnicos, certificación, lanzamiento, informes.
3) Criterios de selección (con los pesos recomendados)
Puntuación: para cada criterio ponemos una puntuación de 0-5 y multiplicamos por peso. Suma = Score integral.
4) Ejemplo de matriz de puntuación (esbozo)
- Los altos puntajes de «Reputación» ayudan con los bancos/PSP y la cartera de proveedores.
- Los «plazos» y los «TCO» suelen ser inversamente proporcionales al «rigor»: cuanto más estrictos son - más largos y caros.
- «TI/datos» incluye requisitos de residencia, registros, DR, SDLC/lanzamientos.
5) TCO: de lo que se compone el coste de propiedad
Una sola vez: tarifas de presentación/evaluación, acompañamiento legal, certificación de RNG/software, auditoría de TI/seguridad, acoplamiento de proveedores y PSP.
Anual: tarifas de licencia, renovación de auditores/laboratorios, seguros, consultores (DPO/MLRO en outsource), monitoreo de vulnerabilidades/pentestas.
Quirófanos: equipo de cumplimiento, servicios RegTech/KYC/AML, logística de alojamiento/redundancia, observabilidad/SIEM, circuitos de lanzamiento, informes.
Consejo: cuenta €/1000 usuarios/mes activos y €/1000 RPS - esto hace que la comparación sea transparente.
6) Plazos y ruta crítica
1. Preparación previa (1-8 semanas): selección de geo/verticales, análisis gap, mapa de proveedores (juegos/PSP/KYC).
2. Paquete de documentos (4-12 semanas): estructura de propiedad, personas clave, políticas (AML/RG/publicidad/datos/incidentes), contratos, arquitectura de TI, DR/BCP.
3. Pruebas técnicas y certificaciones (4-16 semanas): laboratorios, pentests, SDLC/lanzamientos/revistas, pruebas de sandbox.
4. Revisión por el regulador (depende de la jurisdicción).
5. Lanzamiento posterior a la licencia (2-6 semanas): activación de informes, monitoreo de KPI, acoplamiento de PSP/contenido.
7) Requisitos de TI y datos (que se miran generalmente)
Alojamiento/residencia: ubicaciones válidas, espejos DR, gráficos RTO/RPO.
Registro y observabilidad: registros estructurados sin PII/PAN, métricas de SLO, rastreos, comprobaciones sintéticas «depósito/CUS/retiro».
SDLC/lanzamientos: staging-pipelines, control de cambios, artefactos (SBOM/firmas), política de reversión.
Seguridad: encriptación en tránsito/at-nat, KMS/administrador secreto, SSO/MFA/PAM, pentests/análisis de vulnerabilidades.
Data Governance: DPIA, minimización, accesos, respuesta procesal a incidentes.
8) Pagos: la realidad para entrar en el mercado
Disponibilidad de tarjetas/transferencias bancarias/A2A/banca abierta y métodos locales.
Onboarding en PSP/bancos: relación con la licencia/jurisdicción seleccionada.
SLA y monitoreo de Time-to-Wallet, firmas de webhooks (HMAC), idempotencia y DLQ.
Controles de sanciones/RR, normas de velocidad, procedimientos de chargeback.
9) Publicidad, afiliados y restricciones RG
Barreras de edad, canales y tiempos de colocación, requisitos creativos y T&C promo.
Reglas para trabajar con afiliados (contratos, listas blancas, control de creativos).
Herramientas de RG: límites, tiempos de espera, cheques de realidad, autoexclusión (incluidos los registros nacionales), desencadenantes de comportamiento.
10) Reputación y multilicencia
Reconocimiento de la licencia por los bancos/PSP/agregadores, relación de los principales proveedores de contenido.
Posibilidad de expansión: «pasaportes» locales, modos de vecindad, sucursales/informes de extremo a extremo.
Riesgos de los «mercados grises»: la orientación activa de los geos prohibidos socava la credibilidad de la licencia.
11) «Banderas rojas» al seleccionar
Una apuesta por una jurisdicción que no permite que su objetivo geo sea dirigido legalmente.
Ecosistema de pago débil: los bancos/PSP no aceptan a los titulares de esta licencia.
Ausencia de «evidence-first»: las políticas están escritas, pero no hay registros/lanzamientos de artefactos/reportes.
Ignorar las restricciones publicitarias y el control de los afiliados.
Una orientación hacia un «inicio rápido a toda costa» sin un plan para llegar a los mercados regulados.
12) Hoja de ruta para la adopción de decisiones (30-90 días)
Semanas 1-2 - Objetivos/geo/vertical, criterios y pesos, lista de jurisdicciones.
Semanas 3-4 - puntuación (0-5), TCO preliminar y plazos, shortlist (2-3 opciones).
Semanas 5-6 - análisis gap profundo (TI/datos/pagos/publicidad), entrevistas con proveedores/bancos.
Semanas 7-8 - selección final, aprobación de presupuesto y calendario, asignación de propietarios.
Semanas 9-12 - preparación del paquete, lanzamiento de techproverock/certificaciones, ponboarding paralelo PSP.
13) Lista de verificación Definición de lectura (antes de la presentación)
- Los mercados objetivo/idiomas/métodos de pago se describen y se comparan con las reglas de la jurisdicción.
- Designados por Key Persons (incluyendo DPO/MLRO), las estructuras de propiedad son transparentes.
- Políticas preparadas: AML/CTF, RG, publicidad, protección de datos, incidentes, DR/BCP.
- La arquitectura de TI y las versiones están documentadas; hay logs/métricas/tracks y un plan de retroceso.
- Dogovory con los proveedores (контент/PSP/KYC/лаборатории/хостинг) son arreglados.
- Se ha recogido un plan de garantía financiera/reservas y confirmaciones de SoF/SoW.
14) Lista de verificación Definición de Don (después de la emisión)
- Se incluyen los informes regulatorios; propietarios de KPI asignados.
- Herramientas RG personalizadas, cribado de sanciones, registro de decisiones y alertas.
- Rutas de pago con failover, firmas HMAC webhooks, idempotencia, DLQ.
- «Evidence-first»: lanzamientos (SBOM/firmas), pentesto/escáneres, comprobaciones sintéticas de rutas de negocio.
- Control de afiliados y listas blancas de creativos/canales.
- Calendario de auditorías anuales/periódicas y revisiones de políticas.
15) Árbol decisivo (simplificado)
1. ¿Dónde vender?
→ Si se necesitan mercados estrictamente regulados con un fuerte ecosistema de pagos, veamos los regímenes nacionales/provinciales.
→ Si el objetivo es un inicio internacional rápido y la posterior multilicencia, consideremos modos universales compatibles con su tráfico y PSP.
2. ¿Tiempo vs calidad de acceso?
→ necesita «go-live <6-9 mes»: elija un modo con un onboarding rápido y una hoja de ruta de actualización clara.
→ Puedes esperar - Vamos a un modo estricto pero prestigioso.
3. ¿Perfil de riesgo y presupuesto?
→ Alta tolerancia a OPEX en el cumplimiento - tomar un régimen estricto, obtener acceso y reputación.
→ Presupuesto limitado: comenzamos con el modo disponible + plan de transición.
16) Estrategias frecuentes
«Dos pasos»: inicio en la jurisdicción disponible + plan de licencia anticipada en un gran mercado regulado (sincronización SDLC/logs/DR para requisitos futuros).
«Plataforma → regiones»: primero construimos el HUB de integración, observabilidad y RegTech, luego escalamos a los requerimientos de reguladores específicos.
«Pagos-adelante»: elija una licencia con el mayor acceso posible a los métodos PSP/A2A y locales en su geo objetivo.
17) Mini patrón de puntuación (copiar en su matriz)
Criteria (0-5) × Weight
1. Market (20%) = __ × 0. 20
2. Timing (12%) = __ × 0. 12
3. TCO (12%) = __ × 0. 12
4. Payments (12%) = __ × 0. 12
5. IT/data (12%) = __ × 0. 12
6. Ad (8%) = __ × 0. 08
7. RG/AML (8%) = __ × 0. 08
8. Reputation (8%) = __ × 0. 08
9. Scale (8%) = __ × 0. 08
TOTAL (of 1. 00): ________18) Breve conclusión
La elección de la jurisdicción es una decisión de ingeniería y negocios, no una leyenda de la industria. Utilice scoring y TCO, confirme la realidad de pago, verifique la ejecutabilidad de TI/datos/lanzamientos y restricciones publicitarias. Capture las «banderas rojas», planifique la multilicenciación y construya procesos como código, por lo que la licencia se convertirá en una herramienta de escalamiento en lugar de un ancla de costos y riesgos.